.NET中从Claim获取userId失败：有效JWT请求为何报错？

问题场景 #

接口代码 #

[HttpGet("DecodeToken")]
public void DecodeToken()
{
    string? userIdFromClaim = User.FindFirst("userId")?.Value;
    if (string.IsNullOrEmpty(userIdFromClaim))
    {
        throw new Exception("Cannot get JWT token from claim");
    }
    int userId = int.TryParse(userIdFromClaim, out int parsedUserId) ? parsedUserId : throw new Exception("Cannot convert");
    Console.WriteLine("Decoded user id is + " + userId);
}

Postman请求 #

GET http://localhost:5235/Auth/DecodeToken

Authorization Bearer Token eyJhbGciOiJIUzUxMiIsInR5cCI6IkpXVCJ9.eyJ1c2VySWQiOiIxMyIsIm5iZiI6MTcxNTUyNTc3NywiZXhwIjoxNzE1NjEyMTc3LCJpYXQiOjE3MTU1MjU3Nzd9.kxl8uFYaB_8562PomDTNRcLhgtNv7dy7X640b8FRDYZXl4J2NALXlzs3pO5yIYw5Pb2X1i9SB5kB-IdK2PkQ4w

触发异常 #

throw new Exception("Cannot get JWT token from claim");

原因分析 #

1. Authorization头格式错误：Postman中Authorization头写法有误，正确格式应为Bearer <token>，你额外添加了Token关键词，导致JWT验证中间件无法识别并解析Token，最终User.Claims为空。
2. JWT验证中间件未正确配置：如果项目未添加JWT验证中间件，或配置的密钥、Issuer、Audience等参数与Token生成时不匹配，会导致Token无法被解析，Claim无法注入到User对象中。
3. Claim名称匹配问题：若中间件配置了Claim映射规则，可能会修改原始Claim名称，导致代码中用userId无法找到对应值。

解决方法 #

1. 修正Postman的Authorization头格式 #

将请求头改为标准格式（去掉Token关键词）：

Authorization: Bearer eyJhbGciOiJIUzUxMiIsInR5cCI6IkpXVCJ9.eyJ1c2VySWQiOiIxMyIsIm5iZiI6MTcxNTUyNTc3NywiZXhwIjoxNzE1NjEyMTc3LCJpYXQiOjE3MTU1MjU3Nzd9.kxl8uFYaB_8562PomDTNRcLhgtNv7dy7X640b8FRDYZXl4J2NALXlzs3pO5yIYw5Pb2X1i9SB5kB-IdK2PkQ4w

2. 确认JWT验证中间件配置正确 #

在Program.cs中确保已正确添加JWT验证中间件，示例配置如下：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
        };
    });

// 注意中间件顺序：先认证再授权
app.UseAuthentication();
app.UseAuthorization();

需保证配置中的Issuer、Audience、Key与生成Token时的参数完全一致。

3. 正确获取Claim值 #

方法一：直接使用原始Claim名称

如果Token中的Claim名称是userId，可直接匹配获取：

string? userIdFromClaim = User.Claims.FirstOrDefault(c => c.Type == "userId")?.Value;

方法二：使用强类型Claim（推荐）

生成Token时将userId映射到标准Claim类型，后续获取更规范：

// 生成Token时的写法
var claims = new List<Claim>
{
    new Claim(ClaimTypes.NameIdentifier, "13") // 用标准类型映射userId
};

// 接口中获取
string? userIdFromClaim = User.FindFirst(ClaimTypes.NameIdentifier)?.Value;

方法三：自定义扩展方法简化获取

编写扩展方法减少重复代码：

public static class ClaimsPrincipalExtensions
{
    public static string? GetUserId(this ClaimsPrincipal principal)
    {
        return principal.Claims.FirstOrDefault(c => c.Type == "userId")?.Value;
    }
}

// 接口中调用
string? userIdFromClaim = User.GetUserId();

内容的提问来源于stack exchange，提问作者suer231232131133